Mágnescsík vs. Chip

A napokban több helyen is lehetett olvasni azzal kapcsolatos híreket, hogy újra magyar bankkártyák kerültek veszélybe. Arról nem szólnak a híradások, hogy mennyi kártyáról is van szó ebben az esetben, arról viszont igen, hogy kizárólag a régebbi, csak mágnescsíkkal ellátott kártyák adatai kerültek nemzetközi csalók kezébe. A bűnelkövetés módja arra utal, hogy a csalók úgynevezett klónozásos módszerrel dolgoztak, azaz az adatokat a kártya használatakor – valószínűleg ATM készpénzfelvételkor – egy illegális adatszerző eszközzel szerezhették meg, a klónozott kártyákat pedig máshol használták fel.

Mint az köztudott, 2011-től már nem lehet olyan kártyát kibocsátani, amely nem rendelkezik chippel, a még forgalomban lévő csak mágnescsíkos kártyákat pedig záros határidőn belül le kell cserélni. A folyamat láthatóan el is indult, a régi, lejárt kártyákat felváltják a korszerűbb, chipes technológiával működő kártyák, mégis a felmérések azt mutatják, hogy a kártyás tranzakciók 30%-át még napjainkban is mágnescsíkos bankkártyákkal végzik (előző évben ez az arány még 40% volt). Ez nem biztos, hogy azt jelenti, hogy még ennyi régi kártya van forgalomban, mivel az elfogadó eszköztől is függ, hogy tud-e kezelni chippel ellátott kártyát, ez némileg torzíthatja a statisztikákat. A lényeg azonban így is kivehető, szépen lassan kikopnak a mágnescsíkos kártyák, így a bűnözőknek is nehezebb dolguk lesz, mivel a chip biztonságosabban tudja tárolni az adatokat, sokkal nehezebb megszerezni a rajta lévő információkat. A chipes kártyák másolása, klónozása gyakorlatilag lehetetlen, a chipen tárolt adatok még egyszer nem használhatóak fel egy újabb tranzakcióra.

Ez az eset is azt mutatja, amire régóta szeretnénk felhívni a figyelmet: az online vásárlás egyáltalán nem kockázatosabb, mint az offline, sőt! A kártyaadatokat offline módon is meg lehet szerezni, ha kicsit lankad a figyelmünk, többféle módszer van a POS terminálok, vagy ATM-ek manipulálására is. Azonban tudatos használattal és kellő körültekintéssel a minimálisra tudjuk csökkenteni az adatainkkal való visszaélés veszélyét.

Néhány tippet szeretnénk megosztani Kedves Olvasóinkkal, hogy mit tehetnek saját biztonságuk érdekében:

• Ha még csak mágnescsíkkal ellátott kártyánk van, mihamarabb kezdeményezzük bankunknál a cserét, ez már egy nagy lépés a fokozottabb biztonság felé.
• Készpénzfelvétel előtt mindenképp jól nézzük meg az ATM-et, hogy látunk e rajta szokatlan, oda nem illő dolgokat, főként a nyílásokat vegyük szemügyre. A PIN kód beütésekor még akkor is takarjuk el a kezünket, ha épp nincs a közelünkben senki.
• Bolti fizetésnél, étteremben, hasonló helyeken soha ne tévesszük szem elől a kártyánkat, figyeljünk rá, hogy csak egyszer, egy eszközön húzzák le, és lehetőleg azt is a szemünk láttára.
• Nem lehet eleget hangsúlyozni, hogy PIN kódunkra nagyon vigyázzunk, semmiképp ne írjuk a kártyánkra (megtévesztés céljából ráírhatunk egy négyjegyű számot, természetesen ez ne az igazi kód legyen :) ), vagy egy cetlire amit a kártya közelében tárolunk. Csak 4 számjegy, ráadásul változtatható is, válasszunk olyat, amit meg tudunk könnyen jegyezni.
• Használjunk SMS értesítést a terheléseknél, ezzel teljes mértékben nyomon tudjuk követni, hogy mikor használtuk, vagy használták illetéktelenek a kártyát.
• Igényeinknek megfelelően használjunk alacsony napi limiteket, ezzel minimalizálni tudjuk baj esetén a veszteséget. A limitet a legtöbb banknál netbankon keresztül is lehet módosítani néhány kattintással, ha szükséges, akár naponta is tudjuk változtatni, kártyahasználattól függően.
• Internetes vásárlás esetén soha ne adjunk meg PIN kódot, ez ugyanis nem szükséges egy online vásárlás lebonyolításához.
• Ha sokat vásárolunk neten, érdemes lehet egy internetes kártyát igényelni bankunktól, amennyiben tud ilyen szolgáltatást nyújtani. Ez egy főkártyától független kártya, amire annyi pénzt rakunk, amennyit épp szeretnénk, így elég csak a vásárlás előtt az ellenértékkel feltölteni, ha meg is szerzik az adatokat, pénzt nem találnak a számlán.
• Használjunk biztonságosabb, Verified by Visa, vagy Mastercard Secure Code rendszerű kártyákat, ha bankunknál elérhetőek ilyenek. Ezekről bővebben egy korábbi írásunkból tájékozódhatnak.
• Ha már bekövetkezett a baj, ne késlekedjünk sokat, azonnal hívjuk bankunkat, és tiltassuk le a kártyát, megakadályozva ezzel a további kellemetlenségeket, és így nagyobb esélyünk is van a hiányzó összeg visszaszerzésére.

A világ vezető kártyatársaságai folyamatosan rukkolnak elő újabb, még biztonságosabb kártyákkal, módszerekkel, mivel a bűnözők is fejlesztik magukat. Létezik már például folyadékkristályos kijelzővel, és nyomógombokkal ellátott kártya is. A ’Display Card’ névre keresztelt kártya LCD kijelzője egy-egy alkalommal használható jelszavakat jeleníthet meg, ugyanakkor az eszköz ugyanúgy működik, mint a hagyományos bankkártyák. Az integrált képernyőn nem csak a jelszavak jeleníthetők meg, hanem a folyószámla-állása, a hitelkeret összege, a kapott bónuszpontok és a legutolsó tranzakciókkal kapcsolatos adatok is. Hogy ez a fajta kártya mikor fog világszerte elterjedni, még nem lehet tudni, de ahogy a technikai fejlődés szárnyal napjainkban, biztosak lehetünk benne, hogy nemsokára találkozhatunk ilyen kártyákkal a mindennapokban is.

Az online bankkártyás fizetés biztonsága – avagy mi folyik a háttérben?

Egy korábbi bejegyzésünkben már érintettük ezt a kérdéskört, most a technikai háttérrel foglalkoznánk kicsit többet. Ahogy a cím is mutatja, azt szeretnénk röviden bemutatni, mi is folyik abban a pár másodpercben, amíg arra várunk, hogy a fizetésünk sikeres lesz, vagy nem. Nem titkolt célja továbbá ennek a posztnak, hogy a Kedves Olvasó bizalmát még jobban elnyerje az online bankkártyás fizetés, ha látja, hogy milyen biztonsági lépések történnek ilyen esetekben a kereskedő és a bank vagy szolgáltató, illetve a többi szereplő között.

Kezdetnek érdemes tisztában lenni azzal, hogy hogyan is működik az online fizetés háttérfolyamata, egy egyszerű példát nézve, amikor a vásárló egy bank fizetési oldalán keresztül téríti meg a webshopban vásárolt termék ellenértékét: A vásárló a kereskedő vagy szolgáltató (a továbbiakban az egyszerűség kedvéért csak kereskedő) internetes oldalán a bankkártyás fizetési mód kiválasztását követően kezdeményezi a fizetést, melynek hatására átkerül a bank biztonságos kommunikációs csatornával ellátott fizetőoldalára (SSL/TLS titkosítás). A fizetéshez szükséges megadni a kártyaszámot, a lejárati dátumot, és a kártya hátoldalán található 3 jegyű érvényesítési kódot (CVC/CVV kód). A tranzakciót a vásárló indítja el a fizetés gombra kattintva, ettől kezdve a kártya valós idejű engedélyezésen megy keresztül néhány másodperc alatt, melynek során a kártyaadatok eredetisége, fedezete, és vásárlási limit-je kerül ellenőrzésre. Amennyiben a tranzakció folytatásához minden adat megfelel, a fizetendő összeget a vásárló számlavezető bankja zárolja a kártyáján, hogy ezt az összeget másra már ne lehessen elkölteni. A számlavezető bank ezután visszaküldi egy üzenetben a fizetési szolgáltató banknak, hogy minden rendben van, a bank pedig visszairányítja a vásárlót a webshop oldalára, ahol a webáruház kiírja, hogy a vásárlás sikeres volt.

Mivel ez a poszt a technikai részletekről szól, az előző bekezdésből a titkosítás az, ami minket érdekel. A titkosítást évszázadok óta használják bizalmas adatok egyik helyről a másikra juttatásakor. A titkosításkor az elküldendő üzenetet egy titkosító kulcs felhasználásával, titkosító algoritmus segítségével kódoljuk. A kódolt üzenetet aztán eljuttatjuk a rendeltetési helyre, ahol az előbbi kulcs segítségével visszaállítják az eredeti üzenetet. Kétféle alapvető titkosítási mód létezik, a szimmetrikus és az aszimmetrikus titkosítás. Szimmetrikus titkosításnál az üzenet titkosítására és visszafejtésére ugyanazt a kulcsot használjuk. Az eljárás előnye, hogy nagyon gyors, hátránya, hogy mindig ugyanazzal a kulccsal történik a titkosítás, és nehézkes a kulcs egyeztetése. Az aszimmetrikus titkosítás két kulcsot használ, az egyik kulcsot az üzenet titkosítására, a másikat az üzenet visszafejtésére. A két kulcs között olyan matematikai kapcsolat van, hogy amit az egyik kulccsal titkosítanak az csak a másikkal fejthető vissza. Az egyik kulcsot privát kulcsnak, a másikat publikus kulcsnak hívjuk. A felek a publikus kulcsukat nyilvánosságra hozzák. A titkos kulcsot kizárólagosan alkalmazza az aláíró, míg a nyilvános kulcsot a címzett használja, hogy meggyőződjön az aláírás eredetiségéről. A módszer hátránya, hogy lassú, mivel bonyolult matematikát használ.

Jelenleg a legelterjedtebb titkosítási eljárás az SSL/TLS (Secure Socket Layer/Transport Layer Security) protokoll. Az SSL/TLS biztonságos kommunikációs kapcsolatot teremt nyílt kulcsok felhasználásával, a webszerver és a webböngésző közötti adatátvitelben az adatok titkosítására és hitelesítésére alkalmazott biztonsági technológia. Az SSL/TLS a kommunikáció titkosítása mellett arra is lehetőséget nyújt, hogy digitális tanúsítványok segítségével ellenőrizzük a két internetes szereplő hitelességét, és hogy észleljük, ha valaki kívülről szándékosan befolyásolni akarja a kommunikációt. Jelenleg a világ elektronikus kereskedelmének 90%-ában ezt a titkosítási módot alkalmazzák. A bank rendelkezik egy 128/256 bites titkosító kulccsal, amely a kommunikációs csatornát védi. A vásárló által használt böngésző a bankkártya birtokos adatait az elküldés előtt titkosítja, így azok kódolt formában jutnak el rendeltetési helyükre, emiatt illetéktelen személyek számára nem értelmezhetőek.

A laikusok számára lehet, hogy nehéz olvasmánynak tűnik, de a lényeg mindenképp az, hogy láthatjuk, az adatainkat elég komolyan védik egy online vásárlás során, világszerte elfogadott és használt eljárások és szabványok biztosítják, hogy illetéktelenek ne férhessenek hozzá érzékeny adatainkhoz. Nekünk csak annyi a dolgunk, hogy megbizonyosodjunk arról, hogy az oldal, ahol megadjuk kártyainformációinkat, biztonságos legyen. Ha felül a böngészősávban azt látjuk, hogy az oldal címe https://-sel kezdődik (és lehetőleg ne legyen áthúzva, vagy piros színnel írva), akkor megnyugodhatunk, az oldalon biztonságos, titkosított kommunikáció zajlik, adataink nincsenek veszélyben, vásárolgathatunk kedvünkre.

Chargeback – Avagy az e-vásárlás védelme

Akinek van bankkártyája, az valószínűleg már számtalanszor hallott az alapvető biztonsági szabályokról, amit naponta sulykolnak belénk, például hogy ne tároljuk a PIN kódot a kártya mellett egy papírcetlire felírva, sőt, lehetőleg sehol máshol, csak a fejünkben, az ATM-eknél fokozottan figyeljünk minden gyanús jelre (leragasztott nyílások, ép legyen a leolvasó, ahova a kártyánkat behelyezzük), a kártyánkat ne adjuk ki a kezünkből ha egy mód van rá, ha fizetünk vele, akkor legyen mindig szem előtt, és még sorolhatnánk, de akkor az már egy másik poszt lenne.

Az e-vásárlás elterjedésével viszont az untig ismert alapszabályok betartása mellett is előfordulhatnak olyan malőrök, amikor is bankkártyánkat a mi hibánkon kívül, a tudtunk nélkül és/vagy jogtalanul terhelik meg. Ilyenkor nincs vége a világnak, és nem kell rögtön pánikba esni, van kézenfekvő megoldás.

Lássuk, mit is jelentenek a fentiek pontosan, és ha már megtörtént a baj, mik is pontosan a teendőink!

A bankkártya jogtalan megterhelése történhet akkor, ha a kártyánk illetéktelen kezekbe kerül, például elveszítjük vagy ellopják, erről írtunk már korábban itt.

Ennél bonyolultabb esetek is lehetnek, gondoljunk például a tavalyi PPO botrányra amikor is több ezer ügyfél korábban beregisztrált bankkártyáját terhelték meg, az ügyfelek előzetes beleegyezése nélkül.

Megtörténhet az is, hogy a tranzakció ugyan nem jogtalan, de a vásárolt szolgáltatást az ügyfelek már nem kaphatják meg, mert a cég csődöt jelentett. Így jártak az Aeroviva károsultjai is, akik az előre befizetett pénzük után futhattak, miután a cég lehúzta a rolót.

Abban az esetben is jogtalan tranzakcióról beszélhetünk, ha egy szolgáltatónál megújuló (recurring) előfizetést lemondtunk, de a lemondást követően a mi hozzájárulásunk nélkül továbbra is terhelik a bankkártyát a szolgáltatás előfizetési díjával.

Tehát számtalan olyan esemény lehet, ami okozhat a fentiekhez hasonló problémát. Ezeknek az okai leginkább emberi mulasztás (vagy szándékosság), illetve technikai gondok lehetnek, de mivel ezek olyan esetek melyekre a bankoknak kötelezően fel kell készülni, ellenszer is létezik rá (még ha a témában nem annyira járatos banki ügyintéző ezt tagadja is), mégpedig a chargeback.

Chargeback folyamat elindításakor lényegében egy már korábban létrejött tranzakciót a bank a számlatulajdonos utasítására visszavon, ezzel egy időben az adott kereskedő számláját megterheli.

De még mielőtt rohannánk a kártyakibocsájtó bankunkhoz azonnal chargebackelni egy ismeretlen tétel miatt, amit bankszámlánkon vagy bankszámlakivonatunkon vettünk észre, vizsgáljuk meg, hogy valóban olyan vásárlásról van e szó, amit mi nem hagytunk jóvá. Ha nem ismerjük a tranzakció eredetét, vagy csak nem vagyunk biztosak benne, érdemes az elménk rejtett bugyrainak feltúrása után az interneten is keresgélni, és a vásárláshoz tartozó céget felkeresni, hogy tisztázni tudjuk a vitatott szituációt.

A kereskedő saját érdeke, hogy ügyfelei elégedettek legyenek és megtartsa őket, illetve a chargebackek kivédése, hiszen a kereskedővel komoly büntetéseket fizettetnek ki, ha egy bizonyos százalékot meghaladó chargeback érkezik be hozzá. Ezért természetesen meg is van rá az eszköze, hogy a tévesen vagy hibásan levont összeget visszajuttassa a számlánkra (refund tranzakció). Tehát ha egy mód van rá, győzzük meg a kereskedőt, hogy utalja vissza a szóban forgó összeget, mindenki jobban jár (ugyanígy járjunk el, ha pl. hibás terméket kaptunk, vagy nem azt a terméket kaptuk meg amit megrendeltünk).

Amennyiben a szolgáltató nem kompromisszumképes (lásd fenti példák) a refundot illetően, már célszerű felkeresni a kártyakibocsájtó bankunkat. Erre általában a tranzakció létrejöttétől számítva 120 nap áll rendelkezésünkre.

Tehát ha eljutottunk odáig, hogy nincs más megoldás, kérjünk a bankunkban egy chargeback űrlapot, és töltsük ki figyelmesen. Bankja válogatja, de az alábbi információkat mindenképpen meg kell majd adnunk:

                         

Kártyatulajdonos neve

Kártyaszám

Vitatott tranzakció dátuma

Kereskedő adatai

Tranzakció szám

Vitatott összeg / Valutanem

Indok (eset rövid leírása)

Miután kitöltöttük az űrlapot, a bank előzetesen jóváírhatja a vitatott összeget a számlánkon, de a legtöbb eseteben előbb a kártyatársaságok (Visa, Mastercard stb.) illetékes részlegének továbbítják az ügyet. Általában 30 nap alatt megtörténik a kártalanítás, de előfordulhat, hogy akár fél évig is elhúzódik kivizsgálás, ugyanis a kereskedőnek van joga „fellebbezni”, és bizonyítani a tranzakció jogosságát.

Reméljük segítettünk ezzel a cikkel azoknak, akik nem voltak eddig tisztában ezzel a lehetőséggel, és ezáltal mindenki nyugodtabban fogja használni online vásárlások során a kártyáját, hiszen védve van a bankok és a kártyatársaságok szabályozásai által. Ha pedig a fentebb leírt esetek valamelyikével találkozunk, fontos, hogy úgy járjunk el, ahogy az az adott helyzetben elvárható.

Cikkünk vendégszerzője:

Takács Miklós

Compliance Officer

Duodecad Kft.

A DoclerHolding cégcsoport tagja

Védőburokban a tranzakció - mi az a PCI DSS?

Mi a PCI DSS szabvány?

 

A PCI DSS szabvány a kártyakibocsátó társaságok által megalkotott és használatra bevezetett biztonsági eljárások összessége az online bankkártyás vásárlások biztonságának garantálására. A cél, hogy a az elektronikus kereskedelemben a kártyaelfogadóknál és a kereskedőknél csökkentsék a bankkártyákkal való nagyarányú visszaélést. A szabvány a védőburok a tranzakció körül. 

 

Miért fontos a szabvány szerinti működés?

 

Mert a szabvány szerinti működés garantálja az online fizetés szereplőinek maximális biztonságát egy olyan környezetben, ahol a leginkább elterjedtek az elektronikus fizetéssel való visszaélések. A csalásokkal valamint a személyes adatok eltulajdonításával kapcsolatos veszélyeknek az elhárítására alakították ki közösen a piacvezető kártyatársaságok - MasterCard, Visa, JCB, AmEx - a Payment Card Industry Data Security Standard (PCI DSS) szabványt 2004-ben.

 

A szabvány a kártyatársaságokkal kötött szerződés keretében egy sor szigorú információbiztonsági követelmény teljesítését követeli meg minden olyan szervezettől, amely a bankkártyák adatainak kezelésével,továbbításával vagy tárolásával foglalkozik, elemei többek között: tűzfalak megléte, vírusvédelmi megoldások, biztonsági rendszerek és alkalmazások fejlesztése és üzemeltetése, a rendszerekkel dolgozók egyedi azonosítása, a rendszerek és folyamatok rendszeres tesztelése, információbiztonsági szabályzat. A gyakorlatban ez azt jelenti, hogy programozók, biztonsági és pénzügyi szakemberek, szervezetek hada őrködik a tranzakciók biztonsága felett.

Önmagában a biztonsági rendszerek fejlesztése és üzemeltetése több tízmillió forintot emészthet fel évente - ez is az egyik magyarázat, miért nem érdemes a kereskedőknek egyenként üzemeltetni ezeket a rendszereket, miért érdemes erre specializálódott szolgáltatóhoz fordulni.

A PCI DSS szabályozás az internetes értékesítési pontokat működtető pénzintézetek, hitel- és bankkártya-feldolgozók valamint kereskedők egyik legfontosabb megfelelőségi követelményrendszere. A szabályozás több mint 160 különböző részletesen definiált, szigorú adatbiztonsági követelménynek való megfelelését és tanúsítvány elkészítésével történő rendszeres bizonyítását írja elő az érintett szervezetek számára. A követelményrendszer teljes körű, mert amíg a támadóknak elég egy pontot találni, a védekezőknek az összeset védeni kell.

A PCI DSS szabvány használatát a kártyakibocsátó társaságok megkövetelik az online bankkártyás fizetések védelme érdekében.